Este documento presenta un resumen de un manual de evaluación de riesgos. Describe el proceso de evaluar riesgos mediante la comparación de los resultados del análisis de riesgos con los criterios de evaluación de riesgos definidos. También cubre la agregación y agrupación de riesgos relacionados para facilitar la identificación de tratamientos efectivos. El documento proporciona ejemplos de cómo evaluar, agregar y agrupar riesgos específicos como parte del proceso general de gestión de riesgos.

1. 1
Nombre: Richard Barragan
UNIVERSIDAD ESTATAL DE BOLÍVAR
FACULTAD DE CIENCIAS DE LA SALUD Y DEL SER HUMANO
CARRERA: ADMINISTRACIÓN PARA DESASTRES Y GESTIÓN DE RIESGO
TEMA:
“Manual de Evaluación de Riesgos I”
MATERIA:
Evaluación de Riesgos I
DOCENTE
ING. Guido Tamayo.
ESTUDIANTE:
Richard Barragan
CICLO:
Séptimo “B”
PERIODO LECTIVO
2019-2019

2. 2
Nombre: Richard Barragan

3. 3
Nombre: Richard Barragan
La evaluación de riesgos es el proceso de comparar los resultados
del análisis de riesgos con los criterios de evaluación de riesgos
definidos durante el establecimiento del contexto para determinar si
los riesgos cinéticos son aceptables.
Los Riesgos que hemos considerado como separados en realidad
son instancias del mismo riesgo y por ende debemos considerar si
algunos lo tanto, deben agregarse y evaluarse como un solo riesgo.
Además, como preparación para el tratamiento del riesgo,
agrupamos los riesgos de acuerdo con relaciones tales como
vulnerabilidades o amenazas compartidas.
La evaluación de riesgos, la agregación de riesgos y la agrupación
de riesgos del ejemplo de ejecución en función de los resultados del
análisis de riesgos obtenidos .En este punto, hemos identificado los
riesgos y se analizan su probabilidad y consecuencia. A partir de
ellos, se seleccionaron los criterios de evaluación de riesgo.
Las relaciones, compartieron vulnerabilidades y amenazaron las
amenazas. Sin embargo, como el análisis de la probabilidad y la
consecuencia es muy difícil, comenzamos por revisar los resultados
del paso anterior para verificar si es necesario realizar ajustes.

4. 4
Nombre: Richard Barragan
Consolidación de resultados de análisis de riesgo.
El objetivo de la consolidación de los resultados del análisis de
riesgos es asegurarse de que el nivel de riesgo correcto se asigne a
cada riesgo.
Esta es una cuestión importante porque los niveles de riesgo se
dirigen a la identificación de los tratamientos y brindan un apoyo de
decisión esencial para la administración. La consulta central no es el
objetivo y el nivel de riesgo es correcto. Por ejemplo, para el riesgo.
Asignamos la probabilidad Rare y la consecuencia Moderado, que de
acuerdo con los criterios de evaluación de riesgo definidos.

5. 5
Nombre: Richard Barragan
Un nivel de riesgo Bajo. Incluso si la probabilidad aumenta a
Improbable, el nivel de riesgo seguirá siendo bajo.
Por lo tanto, a continuación, el riesgo, la distinción entre los dos
niveles de nivel de probabilidad no es esencial para determinar el
nivel del nivel de conocimientos.
Por otra parte, si se reporta si la consecuencia del riesgo no debe ser
relevante, entonces puede que tenga que tener un gran impacto en el
valor de la propiedad. Al consolidar los resultados del análisis,
dirigimos nuestra atención a los riesgos donde 1) no estamos seguros
acerca de la probabilidad y / o la estimación de la consecuencia y 2)
esta incertidumbre puede afectar el nivel de riesgo o el tratamiento
del riesgo.

6. 6
Nombre: Richard Barragan
Evaluación del nivel de riesgo
Después de haber consolidado los resultados del análisis de riesgo, el usuario debe evaluar los riesgos. El nivel de riesgo de cada riesgo está
determinado por su probabilidad y consecuencia según la matriz de riesgo. En nuestro caso, la evaluación de riesgos se realiza simplemente
trazando cada riesgo en la matriz de riesgos definida.El resultado de los riesgos maliciosos se muestra en la Fig. 9.1, donde otros números se
refieren a otros números
consecuencia Probabilidad
Indicadores raro Improbable posible Probable cierto
Crítico 2
Mayor 6
Moderarado 4,5 8 1
Menor 3
insignificante 7
Fig.9.1 Matriz de riesgos con riesgos maliciosos de la tabla 8.5.
Los errores durante el mantenimiento del sistema central evitan la recepción de datos desde los nodos de medición, ambos están relacionados
con la Error de errores durante la actualización / mantenimiento del sistema central y con la vulnerabilidad Capacitación deficiente y gran carga
de trabajo, como se ilustra en la Tabla 9.2. Como se muestra en la figura 9.2, riesgos no. 14 y 15 son ambos bajos, pero aumentan la probabilidad
o la consecuencia de cualquiera de los dos que se encuentran en el último paso del riesgo para alcanzar el nivel medio. Los tratamientos que
abordan estos dos riesgos probablemente valgan la pena. Al agrupar tales riesgos, facilitamos tener en cuenta dichas consideraciones. Al igual
que en el caso anterior, encontramos que los riesgos nos. 4-6 comparten una amenaza y una vulnerabilidad comunes, y eso es un ejemplo de
riesgo de riesgo 11-13. A pesar de que cada uno de estos riesgos es parte de un riesgo agregado con el nivel de riesgo de riesgo de riesgo, por lo
tanto, asegurando que reciban atención durante el tratamiento de riesgo, todavía es útil agruparlos para el análisis de costo beneficio. Por lo
tanto, creamos dos nuevos grupos, uno que consiste en los riesgos nos. 4-6 y uno consistente en riesgos nos. 11-13.

7. 7
Nombre: Richard Barragan
consecuencia Probabilidad
Indicadores raro Improbable posible probable cierto
Crítico 2
Mayor 13
moderarado 4,5 11,12,14
Menor 15 3 8
insignificante 7 16,17 9
Fig.9.2 Matriz de riesgos con riesgos no maliciosos de la Tabla 8.6
Una evaluación de los riesgos es el proceso de los resultados resultados del análisis de los resultados resultados de la evaluación de los
riesgos. Por ejemplo, se debe compartir y evaluar como un solo riesgo. Además, como preparación para el tratamiento del riesgo, agrupar los
riesgos de acuerdo con las relaciones como las vulnerabilidades o las amenazas compartidas. la evaluación de los riesgos, la agregación de los
riesgos y la agrupación de los riesgos de la ejecución de la función de la función de los resultados de la evaluación de los riesgos. A partir de
ellos, se seleccionaron los criterios de evaluación de riesgo. Las relaciones, compartieron vulnerabilidades y amenazaron las amenazas. Sin
embargo, como es el análisis de la probabilidad y la información es muy difícil, comenzamos a revisar los resultados del paso anterior para
verificar si es necesario realizar ajustes. Al igual que en el caso anterior, parece razonable agregar los riesgos no. 5 y 12, y riesgos no. 6 y 13.
Por lo demás decidimos retener los riesgos originales. Fig. 9.5. muestra los resultados. Se incluyen todos los riesgos originales maliciosos y no
maliciosos, así como los riesgos agregados de ambos tipos.
consecuencia Probabilidad
Indicadores raro Improbable Posible probable cierto
crítico 2
mayor 13
moderarado 4,5 11,12,14
Menor 15 3 8
Insignificante 7 16,17 9
Fig.9.5 Matriz de riesgo después de la agregación.

8. 8
Nombre: Richard Barragan
Tabla 9.2 Agrupación de riesgos núm. 14 y 15.
No. Incidente Activo amenaza Vulnerabilidad
14 Los errores durante el
mantenimiento del sistema
central no permiten la
transmisión de los datos de
control al componente de
choque
Suministro de energía a
clientes de electricidad.
Errores durante la
actualización /
mantenimiento del sistema
central.
Carga de trabajo
15 Los errores durante el
mantenimiento del sistema
central impiden la
recepción de datos desde
los nodos de medición
Disponibilidad de datos
del medidor
Igual que la fila de arriba Igual que la fila de
arriba
Agrupación de riesgos.
Las descripciones generales como la proporcionada por la figura 9.5 dan una indicación de qué riesgos necesitan
tratamiento. Sin embargo, como preparación para el tratamiento de riesgo, también queremos tener en cuenta el hecho
de que los tratamientos pueden tener un efecto en varios riesgos, justificando así un costo mayor que si solo
consideramos los riesgos individuales. Por lo tanto, puede ser útil agrupar los riesgos con esto en mente. La distinción
entre riesgos maliciosos y no malintencionados anteriormente en la evaluación nos ha dado dos grupos. Esto ya es útil, ya
que algunos tratamientos solo tendrán efecto en uno de estos grupos. Por ejemplo, el cifrado de datos, los fire walls y los
sistemas de detección de intrusos generalmente reducirán la probabilidad o la consecuencia de (algunos) riesgos
maliciosos, sin tener ningún efecto en riesgos no maliciosos. Además de distinguir entre riesgos maliciosos y no
maliciosos, generalmente, los grupos agrupan los riesgos de acuerdo con vulnerabilidades compartidas, amenazas,
fuentes de amenazas o activos. El propósito de la agrupación es facilitar la identificación de los tratamientos que dan el

9. 9
Nombre: Richard Barragan
mejor efecto al menor costo al juntar los riesgos que pueden beneficiarse de un tratamiento común. Con el fin de
descubrir cómo agrupar más los riesgos para nuestra evaluación, revisamos sistemáticamente los resultados de la
identificación de riesgos en la Secta. 7.2 y sec. 7.3. ¿Alguno de estos riesgos tiene algo en común que indique que se
beneficiarán del mismo tratamiento? Aquí encontramos, por ejemplo, que el riesgo no. 14, Los errores durante el
mantenimiento del sistema central interrumpen la transmisión de los datos de control al componente de choque, y el
riesgo no. 15,
9.4 Agrupación de riesgos.
No. Incidente Probabilidad Consecuencia
4 Malware compromete los datos
del medidor
Raro Moderada
11 Error de software en el terminal
de medición compromete los
datos del medidor Improbable
Moderado Moderada
4+11 El software en el nodo de
medición compromete los datos
del medidor
Posible Moderada
Agregación de Riesgo
Durante la evaluación debemos tener en cuenta que algunos riesgos pueden "tirar en la misma dirección" en la medida en
que deberían ser evaluados como un riesgo único. Hay básicamente dos casos en los que esto puede sostenerse. El primer
caso, que se ilustra en la figura 9.3, se refiere a identificar más de un activo de la misma parte, lo que genera más de un
riesgo para la parte en cuestión. Incluso si el riesgo de que el incidente X dañe el activo A y el riesgo de que el incidente se
dañe se reduzca a la vez, puede que el efecto de la combinación del daño de la armadura a los derechos de autor sea el
mismo para la agregación de estos riesgos. A pesar de ello, la consecuencia es la consecuencia.

10. 10
Nombre: Richard Barragan
Daño
Fig. 9.3 Agregación de riesgos donde un incidente daña más de un activo de la misma parte
Incidente Y
Daños
a) dos incidentes son instancias especiales de una instancia común, más abstracta
Siempre conducirá a
Daños
activo A de la Parte P
activo B de la Parte P
Incidente X
Incidente Y1
Incidente Y2
Activo C
Amenaza T
Incidente U
Incidente V
Activo D

11. 11
Nombre: Richard Barragan
Agregación de riesgos donde un incidente daña más de un activo de la misma parte
El segundo caso se ilustra en la Fig. 9.4 y se refiere a un solo activo que está siendo dañado por un solo incidente. A pesar de que el riesgo de cada
incidente individual dañó la indagación, es posible que se produzca un riesgo mayor en la combinación. Una situación típica en la que podríamos
agregarnos es cuando los incidentes son de la misma naturaleza, como es el caso de Y1 y Y2 en la Fig. 9.4 a), o cuando los incidentes se originan
a raíz de la amenaza, asistencia a caso de UV y V en la Fig. 9.4 b).
b) dos incidentes son provocados por la misma amenaza
Fig. 9.4 Agregación de riesgo donde a) dos incidentes son instancias especiales de una instancia común, más abstracta, o b) dos incidentes son
provocados por la misma amenaza Tenga en cuenta que esto también debe tenerse en cuenta en los casos en que uno de los
incidentes es malicioso y el otro no es malicioso. Cualquiera que sea el caso y la situación, no es necesario que agreguemos,
a menos que esto pueda llevar el riesgo agregado a un nuevo nivel de riesgo. El nivel de riesgo es, después de todo, lo que
importa con respecto a la toma de decisiones. Para un conjunto de riesgos que son aceptables solo si se consideran
individualmente, no se toma en cuenta la diferencia en la impresión de que no se necesitan tratamientos. Tales decisiones,
por lo tanto, deben tomarse con cuidado. Ahora volvemos a nuestra valoración. Al revisar la Tabla 8.5 y la Tabla 8.6,
encontramos que no hay casos en que un solo incidente dañe más de un activo. Por lo tanto, el tipo de agregación ilustrado
en la figura 9.3 no es relevante para nosotros. Sin embargo, el riesgo no.4, Malware compromete los datos del medidor, y
riesgo 11, el software del medidor y el medidor compromete los datos del medidor, tanto el software de los nodos de
medición como la integridad de los datos del medidor. Por lo tanto, pueden verse como instancias especiales de un incidente
más genérico, al que podemos llamar Software en el nodo de medición que compromete los datos del medidor. Por lo tanto,
son candidatos para la agregación asperFig.9.4a). Mirando en su nivel de riesgo en Figs.9.1 y9.2, nos damos cuenta de que
sus lugares en otros lugares se encuentran en un alto nivel de riesgo que el dado por cualquiera de los riesgos individuales.
Por lo tanto decidimos realizar la agregación. Esto se hace agregando los valores de probabilidad y consecuencia por
separado, y luego combinándolos para obtener el nivel de riesgo de la manera habitual. Como punto de partida,
enumeramos los incidentes, las probabilidades y las consecuencias de los riesgos originales, como se muestra en las filas
superiores de la Tabla 9.1.En primer lugar están las probabilidades. Aquí notamos que los incidentes de riesgos nos. 4 y 11
en realidad pueden superponerse en algún grado. Por ejemplo, el malware puede comprometer los datos del medidor que

12. 12
Nombre: Richard Barragan
ya están comprometidos por un error de software. Por otra parte, las probabilidades se dan como intervalos en lugar de
valores exactos, lo que significa que sumar las probabilidades puede ser un nuevo intervalo que se extienda a una gran
diferencia en la tabla 6.3. Esto significa que existe una gran cantidad de posibilidades, pero es necesario utilizar nuestro
criterio. Después de consideraciones cuidadosas sobre la naturaleza de los incidentes y el grado de superposición, podemos,
por ejemplo, llegar a la probabilidad del riesgo agregado. A continuación se detallan las consecuencias. El sesgo agregado
representa una generalización generalizada de cada uno de los incidentes originales, más que una ocurrencia combinada,
por lo que no tendría sentido sumar sus consecuencias. A menos que estemos considerando instancias en las que se
produzcan varias incidencias de varios incidentes, un daño adicional, la consecuencia de los incidentes agregados no debe
ser mayor que la más alta de las consecuencias originales. Una buena regla general es que si todos los incidentes originales
tienen una consecuencia posterior, entonces tenemos el mismo valor para el incidente agregado. Si no lo hacen, podemos
usar algún tipo de valor promedio, posiblemente ponderado según las probabilidades, o resolver el problema mediante la
consulta de representantes de la parte del activo. En nuestro caso, nos damos cuenta de que los riesgos nos. 4 y 11, ambos
tienen consecuencias Moderadas, ya que se evalúan los resultados agregados. La fila más alta de la Tabla 9.1 muestra el
resultado. El signo más denota agregación.
Otras lecturas
Para saber cómo lidiar con la incertidumbre nos referimos al cap. 13, que se dedica a este problema en particular. Con un
conjunto de indicadores de agregación y agrupación, no tenemos conocimiento de ningún estándar o fuente similar que
proporcione pautas detalladas, aunque el método CORAS [47] ofrece cierto apoyo.